Für die Android-Version des Firefox-Browsers wurde ein 0-Day-Exploit publik gemacht, der es Angreifern erlaubt dem Browser ermöglicht, ungefragt Dateien herunterzuladen und ausführen zu lassen. Im schlimmste Falle, könnten dem User auf diesem Weg manipulierte Apps untergeschoben werden.
Eigentlich sollte Firefox — wie alle anderen Browser für Android — Downloads einfach erst einmal nur herunterladen. Nur wenn Sie auf die heruntergeladene Datei tippen, sollte Sie auch ausgeführt werden. Vergleichbar wäre dies etwas auf einem PC mit einem Doppelklick auf die ausführbare Datei im Download-Ordner des Systems.
Mit dem veröffentlichten Exploit kann der Firefox-Browser jedoch ausgetrickst werden, Apps in Form von APK-Dateien ohne Rückfrage herunterzuladen und zu installieren. Mit einer entsprechend manipulierten Webseite könnten Angreifer daher einfach nur über den Besuch der Seite den Download und die anschließende Installation anstoßen.
Ganz automatisch landet die manipulierte App jedoch nicht auf Ihrem Handy. Das Android-System wird bei der Installation noch nachfragen, ob Sie die App auch wirklich installieren möchten. Tarnt der Angreifer seine App jedoch mit Namen wie "Firefox Update" oder "Systemaktualisierung", klicken mit Sicherheit genügend unbedarfte User auf den Button zum Installieren die getarnte Malware. In einem Video hat der Hacker seinen Angriff demonstriert.
Dieser Angriff zeigt abermals, dass Android-User in den "Einstellungen" unter dem Punkt "Sicherheit" die Installation von Apps "Unbekannter Herkunft" deaktiviert haben sollten. Dieser Schalter erlaubt eben die Installation von Programmen am Play Store vorbei. Sie sollten die Option nur dann extra aktivieren, wenn Sie ganz bewusst eine App aus einer vertrauenswürdigen Quelle installieren möchten.
Die Installation von APKs aus unbekannten Quellen sollte nur bei Bedarf aktiviert werden.
Den Rest der Zeit sollten Sie die Funktion wieder deaktivieren, Ihre von Hand installierten Apps bleiben weiterhin installiert und funktionsfähig. Es gibt keinen Grund — außer die eigene Faulheit — die Option generell aktiviert zu lassen.
